※以下の説明文では、Windowsオペレーティングシステムがインストールされたディレクトリを%windir% と表記しており、インストール時の設定により異なる場合があります。
%windir% のサブディレクトリである"System"や"System32"を %system% と表記しています。

このワームが実行されると、Windowsのメモ帳が開きます。そして、自分自身のコピーを %windir%\msagent\win32 ディレクトリに次のファイル名で作成します。

smss.exe
csrss.exe
winlogon.exe

また、同じディレクトリに次のファイルを作成します。

zipedso1.ber
zipedso2.ber
zipedso3.ber

これらのファイルには、ワームがMIMEエンコードされたアーカイブを含まれます。そして、コンピュータの再起動時に活動を開始できるように、次のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
"winsystem.sys" = "%windir%\msagent\win32\smss.exe"

HKCU\Software\Microsoft\Windows\CurrentVersion\Run
"_winsystem.sys" = "%windir%\msagent\win32\smss.exe"

このワームは、感染を広げる為に、感染したコンピュータのローカルドライブを検索し、次の拡張子を持つファイルから、メールアドレスを取得します。

abc
abd
abx
adb
ade
adp
adr
asp
bak
bas
cfg
cgi
cls
cms
csv
ctl
dhtm
doc
dsp
dsw
eml
fdb
frm
hlp
imb
imh
imm
inbox
ini
jsp
ldb
ldif
log
mbx
mda
mdb
mde
mdw
mdx
mht
mmf
msg
nab
nch
nfo
nsf
nws
ods
oft
php
phtm
pl
pmr
pp
ppt
pst
rtf
shtm
slk
sln
stm
tbb
txt
uin
vap
vbs
vcf
wab
wsh
xhtml
xls
xml

このワームによって送信される電子メールのメッセージは、英語またはドイツ語で記述されています。受信者のメールアドレスによって、ワームが送信するメッセージの言語が選択されます。英語のメールの場合、題名は次のいずれかになります。

Your new Password
Mail_delivery_failed
Paris Hilton, pure!
Alert! New Sober Worm!

ドイツ語のメールの場合、題名は次のいずれかになります。

Ihr Passwort wurde geaendert
Ihr neues Passwort
EMail-Empfang fehlgeschlagen
Paris Hilton Nackt!
Paris Hilton SexVideos
Seitensprung gesucht?
Vorsicht! Neuer Sober Wurm!

英語のメールの場合、本文は次のいずれかが含まれます。

Thanks for your registration!
We have received your payment.
For more detailed information, read the attached text.

This is an automatically generated Delivery Status Notification.
ESMTP Error []
I'm afraid I wasn't able to deliver your message.
This is a permanent error; I've given up. Sorry it didn't work out.
The full mail-text and header is attached

More than 50 HOT Hilton Videos
More than 3000 Hilton picks
FREE Download until April, 2005
Make your own Download Account, it's free!
Further details are attached
Thanks & have fun ;)

ATTENTION!
Antivirus vendors are warning of a new variant of the Sober virus discovered today that can delete the hard disk.
Protection: Download and read the zipped patch. It's very easy to install!
Thanks for your cooperation!
--- (c)2005 Microsoft Corporation. All rights reserved
--- Microsoft Corporation
--- One Microsoft Way
--- Redmond, Washington 98052-6399

You visit illegal websites
Dear Sir/Madam,
we have logged your IP-address on more than 40 illegal Websites.
Important: Please answer our questions!
The list of questions are attached.
Yours faithfully,
M. John Stellford
++-++ Federal Bureau of Investigation -FBI-
++-++ 935 Pennsylvania Avenue, NW, Room 2130
++-++ Washington, DC 20535
++-++ (202) 324-3000

ドイツ語のメールの場合、本文は次のいずれかが含まれます。

## Diese E-Mail wurde automatisch generiert
## Aus Gruenden der Sicherheit, bekommen Sie diese E-Mail
## wenn Ihr aktuelles Benutzer- Passwort veraendert wurde
---------------
Ihr neues Passwort und weiter Informationen befinden sich im beigefuegten Dokument.

Der Betrag von ## ,- Euro ist erfolgreich auf unserem Konto eingegangen.
Passwort, Benutzername und weitere wichtige Informationen zu ihrem neuen Account befinden sich im angehefteten Dokument.
Hochachtungsvoll
Silvia Hochberger

Guten Tag,
mehr als 50 Videos,
Mehr als 1000 heisse Fotos
und mehr als 300 original Sounds von der kleinen Hilton ........ .
Alles frei zum Download, aber nur bis zum 01 April 2005 !!!
Weitere Details entnehmen Sie bitte dem vorliegendem Dokument.
Vielen Dank!
Webmaster

Wichtige Information!
Eine neue Sober-Variante verbreitet sich derzeit im Internet. Wie seine Vorgaenger verschickt sich der Wurm von infizierten Windows-Rechnern per E-Mail an weitere Adressen.
Es wird deshalb empfohlen, das Patch-Tool auszufuehren um sich vor diesem Wurm zu schuetzen bzw. diesen wieder zu entfernen.
--- (c)2005 Microsoft Corporation. Alle Rechte vorbehalten
--- Vertretungsberechtigter: Juergen Gallmann
--- Handelsregisternummer: HRB 70438
--- E-Mail Adresse: security@microsoft.com

Hallo,
wir hoffen das Ihnen die Betreffszeile unsere Mail genug sagt.
Der Jugendschutz verbietet uns leider mehr Auskunft ueber unser Angebot zu geben.
Informationen,,,, wie Sie sich bei uns anmelden koennen befinden sich im beigefuegten Dokument.
Natuerlich ist die Anmeldung Kostenlos!
Mehr als 2.7 Millionen registrierte Benutzer!!!
Da ist fuer jeden was dabei!
Auf Wiedersehen

メールの本文には、「このメールが安全である」という意味の偽のメッセージが付加される場合があります。

英語のメールの場合

Attachment: No Virus found
Mail-Scanner: No Virus detected
AntiVirus: Found to be clean

ドイツ語のメールの場合

Anhang Scanner: Kein Virus enthalten
Mail Scanner: Kein Virus gefunden
AntiVirus System: No Virus found

電子メールの添付ファイルは、Win32/Sober.K の実行可能なZIPアーカイブを含んでいます。添付ファイルの名前は、次のいずれかです。

PSW-Text.zip
zipped-text.zip
zipped-mail.zip
Register-Info.zip
Formular.zip
Tool.zip
text.zip
help-text.zip

NOD32アンチウイルスは、アドバンスドヒューリスティック機能によって、ウイルス定義ファイルの更新を行なうことなくWin32/Sober.K を検出することができます。

NOD32アンチウイルスは、ウイルス定義ファイルのバージョン1.1004にて対応しています。

NOD32アンチウイルスを最新にしてください。コンピュータをインターネットに接続して、NOD32のコントロールセンターの「更新」ボタンをクリックしてください。